Personuppgiftsbiträdesavtal

Detta avtal gäller mellan den bilhandel som har ett konto i Bilmodul (nedan "kunden" eller "den ansvarige") och Siton Technologies AB, org.nr 559571-7603, Östermalmsgatan 26A, 114 26 Stockholm (nedan "Bilmodul" eller "biträdet").

När kunden använder Bilmodul lägger kunden in uppgifter om sina egna kunder, säljare, leverantörer och fordonsägare. För de uppgifterna är kunden personuppgiftsansvarig och Bilmodul personuppgiftsbiträde. Detta avtal reglerar den behandlingen. Det är en del av användarvillkoren och gäller så länge kunden har ett konto.

För uppgifter om kundens egna användare (namn, inloggning, användning av tjänsten) är Bilmodul självt personuppgiftsansvarigt. Den behandlingen beskrivs i Bilmoduls integritetspolicy och omfattas inte av detta avtal.

Orden personuppgift, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad, personuppgiftsincident och tredjeland har samma betydelse som i dataskyddsförordningen (EU 2016/679). Med underbiträde menas en leverantör som Bilmodul anlitar och som behandlar kundens personuppgifter för Bilmoduls räkning.

Syfte. Att leverera tjänsten Bilmodul till kunden: hålla ordning på fordon, inköp, påkostnader och försäljningar, ta fram och signera avtal, läsa av dokument, räkna ut moms och skapa bokföringsunderlag.

Behandlingens art. Lagring, visning, sammanställning, automatisk avläsning av dokument, utskick och mottagande av e-post, överföring till kundens bokföringsprogram på kundens begäran, säkerhetskopiering och radering.

Kategorier av registrerade. Kundens kunder (bilköpare), säljare av fordon, fordonsägare, kontaktpersoner hos leverantörer och samarbetspartner, samt andra personer som förekommer i dokument som kunden laddar upp eller mejlar in.

Typer av personuppgifter. Namn, personnummer eller organisationsnummer, adress, telefonnummer, e-postadress, registreringsnummer och andra fordonsuppgifter, köpe- och försäljningsuppgifter, belopp och betalningsuppgifter, innehåll i avtal, kvitton, fakturor och ägarbyteshandlingar, signaturuppgifter samt uppgifter om legitimationskontroll när kunden valt att använda sådan.

Känsliga uppgifter. Tjänsten är inte avsedd för känsliga personuppgifter (till exempel hälsa, etnicitet eller facklig tillhörighet). Kunden ska inte lägga in sådana uppgifter.

Varaktighet. Så länge kunden har ett konto, och därefter under den avvecklingstid som anges i avsnitt 10.

Kunden ansvarar för att det finns rättslig grund för behandlingen, att de registrerade fått den information de har rätt till, att uppgifterna som läggs in är riktiga och relevanta, och att kundens instruktioner till Bilmodul följer lag. Kunden ansvarar också för sina användares behörigheter och för att ta bort användare som slutar.

Bilmodul ska:

1. Följa kundens instruktioner. Bilmodul behandlar personuppgifterna bara för att leverera tjänsten enligt användarvillkoren, detta avtal och de val kunden gör i tjänsten. Kundens användning av tjänstens funktioner utgör kundens instruktioner. Anser Bilmodul att en instruktion strider mot lag ska Bilmodul säga till utan dröjsmål.
2. Inte använda uppgifterna för egna ändamål. Bilmodul får använda sammanställd och avidentifierad statistik om hur tjänsten används, men aldrig uppgifter som kan knytas till kundens kunder.
3. Hålla tystnadsplikt. Bara personal som behöver det för sitt arbete får tillgång till kundens personuppgifter, och den personalen har tystnadsplikt.
4. Skydda uppgifterna med de tekniska och organisatoriska åtgärder som beskrivs i bilaga 2, och anpassa dem i takt med att riskerna och tekniken förändras utan att skyddsnivån sänks.
5. Hjälpa kunden att svara på registrerades begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Får Bilmodul en sådan begäran direkt från en registrerad hänvisar Bilmodul till kunden och meddelar kunden.
6. Hjälpa kunden med konsekvensbedömningar, förhandssamråd med Integritetsskyddsmyndigheten och säkerhetsfrågor, i den mån det behövs och Bilmodul har informationen.
7. Rapportera personuppgiftsincidenter enligt avsnitt 8.
8. Radera eller återlämna uppgifterna när avtalet upphör enligt avsnitt 10.
9. Dokumentera behandlingen och ge kunden den information som behövs för att visa att detta avtal följs, enligt avsnitt 9.
10. Meddela kunden om Bilmodul blir skyldigt enligt lag att lämna ut kundens personuppgifter till en myndighet, om lagen tillåter att kunden informeras.

Kunden godkänner att Bilmodul anlitar underbiträden för att leverera tjänsten. De kategorier av underbiträden som används framgår av bilaga 3. En fullständig lista med namn, land och behandling lämnas ut till kunden på begäran via support@bilmodul.se.

Bilmodul ingår skriftliga avtal med varje underbiträde som ger minst samma skydd som detta avtal, och Bilmodul ansvarar fullt ut mot kunden för underbiträdenas arbete.

Vill Bilmodul byta eller lägga till ett underbiträde meddelar Bilmodul kunden minst 30 dagar i förväg via e-post eller i tjänsten. Har kunden sakliga skäl att invända ska kunden göra det skriftligt inom den tiden. Kan parterna inte lösa invändningen får kunden säga upp användarvillkoren med verkan från den dag det nya underbiträdet börjar användas, utan uppsägningstid och utan kostnad utöver redan upplupna avgifter.

Databasen och kundens dokument lagras i Sverige. Övrig behandling sker inom EU/EES eller, när ett underbiträde behandlar uppgifter utanför EU/EES, med ett giltigt överföringsverktyg enligt dataskyddsförordningen, till exempel EU-kommissionens standardavtalsklausuler.

Automatisk avläsning av dokument görs av ett underbiträde som behandlar innehållet i USA. För den överföringen gäller EU-kommissionens standardavtalsklausuler enligt underbiträdets databehandlingsavtal, kompletterat med kryptering under överföring. Underbiträdet behandlar dokumenten på Bilmoduls uppdrag och har åtagit sig att inte använda uppgifterna för egna ändamål.

Vilka underbiträden som behandlar uppgifter utanför EU/EES, och med vilket skydd, framgår av den fullständiga underbiträdeslistan som lämnas ut på begäran.

Får Bilmodul kännedom om en personuppgiftsincident som rör kundens personuppgifter meddelar Bilmodul kunden utan onödigt dröjsmål, och senast inom 48 timmar, till den e-postadress kundens administratör angett.

Meddelandet innehåller det Bilmodul vet vid tillfället: vad som hänt, vilka kategorier av registrerade och uppgifter som berörs och ungefär hur många, troliga konsekvenser, vilka åtgärder som vidtagits och vem kunden kan kontakta. Information som inte finns direkt lämnas efter hand. Bilmodul hjälper kunden att uppfylla sin anmälningsskyldighet mot Integritetsskyddsmyndigheten och de registrerade.

Bilmodul lämnar på begäran, högst en gång per år om inte en incident eller ett myndighetskrav ger skäl till mer, den dokumentation som behövs för att visa att detta avtal följs: beskrivning av säkerhetsåtgärder, underbiträdeslista och sammanfattningar av eventuella externa granskningar.

Räcker inte dokumentationen får kunden, eller en oberoende granskare som kunden utser och som har tystnadsplikt, granska Bilmoduls behandling. Granskningen ska meddelas minst 30 dagar i förväg, ske under kontorstid, inte störa driften mer än nödvändigt och inte ge tillgång till andra kunders uppgifter. Kunden står för sina egna kostnader; Bilmodul får ta betalt för arbetstid utöver en arbetsdag per granskning enligt sin ordinarie timtaxa.

När kundens konto upphör gäller det som står i användarvillkoren: kunden har läsbehörighet i 30 dagar och kan då ta ut sina uppgifter själv eller få en samlad export kostnadsfritt. Därefter raderar Bilmodul kundens personuppgifter inom 90 dagar, inklusive hos underbiträden, med undantag för uppgifter som Bilmodul enligt lag måste spara (sådana uppgifter spärras och behandlas bara för det ändamålet) och för säkerhetskopior, som skrivs över löpande och inte återställs annat än vid driftfel.

På begäran bekräftar Bilmodul skriftligt att raderingen är gjord.

Parterna ansvarar var och en för sin egen behandling enligt dataskyddsförordningen. Mellan parterna gäller samma ansvarsbegränsning som i användarvillkoren. Den begränsningen gäller inte för sanktionsavgifter som en myndighet beslutat på grund av att den ena parten brutit mot sina egna skyldigheter, och inte vid grov vårdslöshet eller uppsåt.

Bilmodul får uppdatera detta avtal när lagen eller tjänsten kräver det, på samma sätt och med samma varsel som användarvillkoren. Säger dataskyddsförordningen något annat än detta avtal gäller förordningen.

Svensk lag gäller. Tvister avgörs enligt användarvillkoren, med Stockholms tingsrätt som första instans.

• Kryptering av uppgifter vid överföring och lagring.
• Varje bilhandels uppgifter är åtskilda från andra kunders; varje användare ser bara det hens behörigheter tillåter.
• Personliga inloggningar med lösenordskrav, kontolåsning efter upprepade misslyckade försök, valfri tvåstegsverifiering och BankID-inloggning, förnyad identifiering vid känsliga åtgärder.
• Dokument lagras i privata utrymmen som bara nås via tjänsten, med begränsningar i filstorlek och filtyp.
• Nycklar till kundens bokföringskopplingar lagras krypterat.
• Loggning av känsliga händelser i kontot, med maskering av personuppgifter i loggen.
• Regelbundna säkerhetskopior av databasen.
• Felrapportering utan personuppgifter om kundens kunder; mätning av användning bara efter samtycke, med inmatade uppgifter dolda.
• Begränsad och behovsstyrd åtkomst för Bilmoduls personal, med tystnadsplikt.
• Löpande säkerhetsuppdateringar och rutin för incidenthantering.

Den fullständiga listan med underbiträdenas namn, land och behandling lämnas ut på begäran via support@bilmodul.se. Fortnox, Visma, BankID och leverantören av fordonsuppgifter är inte underbiträden utan egna personuppgiftsansvariga; dit skickas uppgifter bara på kundens begäran.

Siton Technologies AB
Org.nr 559571-7603
Östermalmsgatan 26A, 114 26 Stockholm
info@bilmodul.se (allmänna frågor) · support@bilmodul.se (underbiträdeslistan och support)

Avtalet gäller från 5 oktober 2026.